Il Garante Privacy avvia una istruttoria sulla App C-Healer

Il Garante Privacy avvia una istruttoria sulla App C-Healer

Di Dott. Christian Bernieri - DPO

Nei giorni a cavallo di Natale, è stata rilasciata una App, inizialmente chiamata Covid Healer, successivamente rinominata C-Healer. In apparenza lo scopo dichiarato pare meritorio: organizzare supporto medico ai malati di Covid-19 e metterli in contatto con medici disposti a prestare assistenza. Ad uno sguardo più approfondito, leggendo le pagine del sito di riferimento, i termini e condizioni di uso del servizio e la modulistica, la App e l'associazione sottostante si manifestano in realtà come qualcosa di differente, non fosse altro per l'ingente mole di dati trattati al solo fine, dichiarato, di mettere in contatto un utente bisognoso di cure con un professionista disposto a dare consigli e prestare assistenza medica.

L'iniziativa è stata notata da molti, ciascuno con la propria ottica. Alcuni hanno riconosciuto nell'iniziativa una sospirata alternativa alle cure ufficiali, altri hanno riconosciuto nella medesima iniziativa un tentativo di carpire utenti, con vacue promesse, facendo leva sul disperato bisogno di persone malate. Altri, come il sottoscritto, si sono limitati ad inorridire rispetto al tema del trattamento dei dati personali, come desumibile dagli elementi visibili dell'App, del sito e della documentazione di accesso all'iniziativa.

A seguito di queste osservazioni, un piccolo gruppo di persone ha analizzato a fondo alcuni elementi di compliance al GDPR riscontrando una serie di elementi fattuali e mettendo il lavoro di analisi all'attenzione del Garante. 

Ogni giorno il Garante Privacy si dedica ad attività di vigilanza ed interviene al fine di sanzionare e bloccare chi non rispetta i requisiti e gli adempimenti imposti dalla legge a chiunque intenda trattare dati personali.

In questo caso il Garante ha accolto una segnalazione presentata inizialmente via twitter e successivamente in modo formale da @sonoclaudio, con il contributo di @relationsatwork e di @prevenzione, ritenendola fondata e meritevole di approfondimento.

Sia la segnalazione che l'intervento del Garante sono focalizzati unicamente sul rispetto dei requisiti minimi nell'acquisizione dei dati, sul loro trattamento, sulla necessaria trasparenza e sull'adempimento delle misure previste a garanzia dei dati degli utenti (siano essi i medici e i pazienti coinvolti).

Il particolare ambito delle cure domiciliali è divisivo e rappresenta per alcuni un'alternativa, in contrapposizione alle cure ufficiali gestite dalla sanità pubblica. Questo aspetto non è stato sfiorato dall'attività del Garante e non è citato nella segnalazione, se non nei termini in cui qualifica un trattamento di dati particolari, pertanto, più rischiosi e delicati da trattare.

Come ricorda il Garante nel comunicato stampa, i dati personali particolari (già noti come dati sensibili) non possono essere trattati, se non in alcuni casi previsti dalla legge e adottando misure di prevenzione rafforzate. Già ad un primo sguardo, la App oggetto di indagine sembra violare questo divieto e ignorare le misure che la legge chiede di attuare.

In particolare, la gestione delle basi di legittimazione e delle finalità dei trattamenti paiono incomprensibili poiché svincolate le une dalle altre. L'utente non ha la possibilità di comprendere ciò che avverrà e ciò che capiterà ai suoi dati personali.

Anche il consenso chiesto è fortemente penalizzato dalla opacità delle informazioni e non può essere definito un consenso informato, né reso in modo volontario. Anche il fatto che sia chiesto un unico consenso per una pluralità di trattamenti balza all'attenzione di qualunque utente e contrasta con i principi base della normativa di riferimento, il GDPR. Accertare queste ipotesi è l'unico intento del Garante.

L'importanza della protezione che i dati sensibili meritano risulta evidente pensando a quanto possano essere vulnerabili le persone che, spaventate dalla malattia, cercano ogni possibile appiglio di salvezza, sottovalutando le conseguenze di altri aspetti che, in tali circostanze, appaiono ai loro occhi marginali, insignificanti e magari di ostacolo rispetto ad una finalità impellenti come la cura delle malattie e la salute fisica. In questo contesto, purtroppo, operano spesso attori che, abusando dello stato di emergenza, della paura delle persone e della loro fragilità, agiscono in modo non etico, accumulando dati non necessari e monetizzandoli o, quanto meno, violando il fondamentale diritto alla protezione dei dati a cui ogni persona, in particolare chi è fragile, ha diritto.

Nonostante il periodo festivo, il Garante ha accolto la segnalazione e si è attivato con una tempistica stupefacente, probabilmente riconoscendo a prima vista fondati motivi e una elevata pericolosità del trattamento che ora è oggetto di indagine.

A seguito del tempestivo intervento dell'Autorità, "si è assistito all'usuale diluvio di risposte volgari o violente", così si è espresso il Garante in un messaggio su twitter, affermando inoltre che "Continueremo a diffondere la cultura della protezione dei dati personali. Esiste una comunità attenta, sensibile presente. Grazie a quanti sono intervenuti per ricordarlo."

Le scomposte voci di dissenso rispetto all'iniziativa paiono accomunate dalla confusione dei ruoli: il garante mira unicamente a far rispettare norme di legge, non a scrivere tali norme né ad affossare o promuovere iniziative private sulla base di un giudizio di opportunità o di legalità o, ancora, di conformità ad uno o l'altro pensiero. Chiaramente la libertà di cui godiamo, e che proprio il GDPR ci assicura, implica che si possa dissentire dall'operato del Garante, tuttavia resta un dovere esprimere le proprie opinioni in modo informato e consapevole e questo, purtroppo, viene spesso dimenticato.

Il 2021 si conclude dunque con un intervento forte, chiesto da gente comune, destinato alla gente comune ed orientato a prevenire i danni e i trattamenti illeciti dei dati personali di chi, in questo momento, ha più bisogno di aiuto e protezione. Questo è un messaggio molto forte e un ottimo auspicio per l'attività a venire del Autorità Garante per la Protezione dei Dati Personali. 

 La revoca del Green Pass: il Garante Privacy invia il parere sul decreto in arrivo.

di Dott. Christian Bernieri - DPO e Consulente in materia di Protezione dei Dati Personali dal 1996. Principal Consultant di privacybydesign.it 

La revocabilità del Green Pass, o meglio, delle certificazioni verdi Covid-19, è un tema problematico e discusso sin dalla prima ora. Nel momento dell’introduzione del Green Pass, questa necessità non venne percepita come impellente e l’integrazione e l’implementazione di un meccanismo di revoca, seppur già contemplato nella normativa europea, passò in secondo piano.

Il Governo Italiano, concentrando sul GP gran parte delle misure di prevenzione sin’ora attuate, ha riproposto questa impostazione, ammettendo la possibilità di revoca ma senza implementare alcun meccanismo capace di dar corpo a questa previsione. Di fatto, ad oggi, la revoca del Green Pass non è tecnicamente possibile.

Già all’alba del 9 Giugno 2021, Il Garante Privacy, con un formale provvedimento, ha evidenziato l’indispensabilità di un effettivo meccanismo di revoca, sia nel rispetto del principio di esattezza del dato previsto dal GDPR, sia per scongiurare i maggiori rischi e la perdita della reale efficacia di contenimento dovuti a possibile l'inattendibilità delle condizioni attestate dal Green Pass stesso.

Il clima estivo non ha giovato e il Governo non ha implementato alcun meccanismo di revoca nella normativa che disciplina il certificato verde.

La realtà, spesso, supera la fantasia e, con il trascorrere del tempo, si è notevolmente arricchita la casistica delle circostanze per le quali la revoca del green pass è necessaria. Gli esempi formulati dal Garante si sono trasformati da mere ipotesi accademiche a fattispecie concrete, realizzandosi puntualmente:

• diffusione e condivisione online di certificati verdi autentici ma utilizzati in modo illecito da centinaia di persone

• diffusione a mezzo stampa di green pass reali e conseguenti usi illeciti

• vendita illegale di certificati falsificati, con nomi di fantasia, da Mickey Mouse a Hitler

• diffusione di certificati autentici ma non registrati, acquisiti mediante la funzione di anteprima

• vendita di certificati veri e registrati ma senza effettiva inoculazione del vaccino

• più in generale, certificazioni verdi rilasciate e ottenute in maniera fraudolenta

• sospensione di intere partite di vaccino anti Covid-19 risultate difettose

• certificazioni verdi Covid-19 rilasciate a persone successivamente risultate positive al SARS-Cov-2

• effettuazione di tampone con esito positivo e conseguente provvedimento di quarantena per legittimi possessori di certificati verdi

Per la Santa Inquisizione, l’aver previsto accadimenti ed eventi funesti sarebbe stato un ineluttabile segno di colpevolezza e avrebbe portato sul rogo lo sventurato profeta. Per fortuna i tempi sono cambiati e non si è registrato nulla di simile, limitando il dissenso ad un atteggiamento piccato ed ostinato da parte dell’Esecutivo e qualche epiteto rivolto alle vestali e ai talebani con la fisima della Privacy.

Grazie dunque al tempo, galantuomo, poichè la pressante esigenza di rendere effettiva la revoca ha spinto il Governo a consultare il Garante per trovare le modalità con cui intervenire su un sistema, ormai diventato complesso ed articolato, che deve ora essere modificato in corsa, contenendo gli effetti e le conseguenze prevedibili di ogni variazione.

Il Garante non si è sottratto, anche perchè le opportune valutazioni erano già state fatte e nulla è cambiato in merito a leggi, finalità, priorità e necessità di bilanciamento, che peraltro sono i criteri che avrebbero dovuto guidare la penna del legislatore.

Con il Provvedimento del 13 dicembre 2021 [9727220] il Garante ripercorre tutte le criticità già note e definisce le modalità di intervento, compatibili con la normativa a tutela del diritto alla protezione dei dati personali.

La revoca del green pass presuppone tre punti fondamentali che dovranno essere implementati a livello normativo e tecnico:

1. la revoca potrà basarsi su una black list, un archivio dei codici che identificano univocamente i green pass revocati. Questa blacklist deve poter essere consultata dai sistemi di verifica in modo che, seppur formalmente corretti, i green pass revocati non permettano la loro validazione da parte della App. 

2. la revoca di un Green Pass dovrà essere notificata e conoscibile alla persona che ne risulta intestatario, utilizzando i dati di contatto da lui forniti. 

3. in caso di errore, la revoca del Green Pass deve poter essere annullata, permettendo il ripristino della validità del documento revocato, sia in caso di guarigione che di tamponi con esito falso positivo.

Il punto più complesso da gestire sarà, in ogni caso, il nefasto emendamento al decreto-legge n. 127 del 2021 che ha introdotto la possibilità di consegnare al datore di lavoro la copia del proprio green pass al fine di essere esentati dai controlli. Questa norma è parsa a molti interpreti come una presa di posizione del Governo nei confronti del Garante e della Privacy in generale: in occasione delle audizioni in commissione parlamentare, sono state registrate unicamente voci di segno uniforme e negativo, tutti pareri adeguatamente motivati e ineccepibili. Il legislatore ha comunque ignorato questo monito corale e ha convertito in legge un testo decisamente problematico. 

Approfondimento di contenuto e implicazioni in un recente articolo su agendadigitale.eu : 

https://www.agendadigitale.eu/sicurezza/privacy/rischioso-consegnare-il-green-pass-allazienda-per-evitare-i-controlli-ecco-perche/

L’emendamento oggi è legge e complica molto la gestione della revocabilità del Green Pass.

Il meccanismo di consegna del green pass al datore di lavoro, pensato per semplificare l’attività di controllo, tende a cristallizzare una situazione documentale che, per sua natura, è mutevole. Il green pass detenuto in azienda potrebbe essere revocato e, se il lavoratore risulta esonerato dai controlli, si realizzerebbe una concomitanza di eventi devastante: verrebbe completamente vanificata tanto l’utilità del Green Pass rispetto alla riduzione del contagio, quanto la misura di revoca che risulterebbe inefficace poichè invisibile ai controlli.

Il Garante, pur provando a trovare soluzioni, non ha potuto conciliare la capra e i cavoli, laddove i cavoli sono ovviamente i Dati personali da proteggere. Quanto alla Capra, penso che vi sia solo l’imbarazzo della scelta sull’attribuzione dell’analogia.

La cronaca ci ricorda che il Garante si espresse preventivamente, mettendo in guardia circa i rischi dell’adozione del meccanismo di consegna del green pass e che, successivamente, richiamò con forza l’attenzione sulle implicazioni che questa norma comporta durante la sua vigenza.

Non sarebbe intelligente continuare a ribadire l’ovvio pertanto il Garante fa bene, ora, ad astenersi dal suggerire l’abrogazione della norma che, tuttavia, pare essere l’unica vera soluzione al problema.

Le indicazioni del Garante, dovendo prendere atto tanto della norma quanto delle pressanti necessità connesse alla revoca, vanno nell’unica direzione possibile:

il datore di lavoro, in possesso dei green pass, è tenuto ad effettuare su di essi il controllo ordinario, quotidiano, esattamente come fa con i lavoratori che non hanno consegnato il proprio GP o come dovrebbe fare, in ogni caso, con i lavoratori che accedono ai luoghi di lavoro.

La norma contestata, concepita come una semplificazione, è diventata ora uno scomodo ostacolo all’azione di Governo: non solo non pare abbia semplificato alcunchè, ma sembra addirittura aver complicato le cose aggiungendo una moltitudine di rischi ed adempimenti connessi alla corretta conservazione dell’archivio dei green pass e, peraltro,  rendendo pressoché nulli i vantaggi in termini di agevolazione nelle verifiche.

Probabilmente, molti datori di lavoro che hanno raccolto i Green Pass, attirati dalla promessa di una semplificazione, ora vorranno disfarsene e tornare a modalità di controllo perimetrali o a campione. Per non complicarsi ulteriormente la vita, sconsiglio di appallottolare tutto l’archivio e conferirlo come spazzatura ma di utilizzare un distruggidocumenti adeguato.

Il Provvedimento del Garante va ben oltre e affronta altri aspetti che meritano l’attenzione del legislatore e che, se non gestiti, daranno luogo a mostri giuridici, abusi, discriminazioni e ogni sorta di danno per le persone coinvolte.

Il Garante puntualizza la differenza tra la verifica dell’obbligo vaccinale, previsto per determinate categorie di lavoratori, e la ben nota verifica del green pass che viene attuata in molti contesti, incluso l’ingresso ai luoghi di lavoro. La distinzione pare superflua solo ad un lettore distratto, poichè le implicazioni sono serie e reali. L’accertamento dell’obbligo vaccinale, quando compete al datore di lavoro, deve essere eseguito una tantum e le variazioni dello stato vaccinale dovranno essere notificate via email  solo qualora ricorrano da parte degli enti preposti. Ben diversa è la periodicità di verifica del green pass che è quotidiana o, comunque, frequente. Questa considerazione, di fatto, permette di verificare all’ingresso il green pass base per tutti i lavoratori e in tutti i luoghi di lavoro, omettendo la verifica del super green pass, erroneamente suggerita dall’eventuale obbligo vaccinale di alcuni lavoratori.

Particolare attenzione è stata data alle caratteristiche dell’interfaccia dell’App VerificaC19, l'unica app ufficiale per la validazione dei green pass. Con l’introduzione delle due tipologie di Green Pass e di Super Green Pass, occorre scongiurare il rischio che sia resa palese la causa di emissione della certificazione. L’interfaccia dovrà essere pertanto modificata in modo da risultare chiara e visibile, tanto al verificatore quanto al verificato, e dovrà essere disegnata in modo da prevenire gli abusi e gli errori di impostazione.

Il Garante ripropone nuovamente una delle primissime osservazioni relative all’esito della verifica: dovranno scomparire le differenti schermate e i differenti colori in caso di verifica positiva. Se un QR Code è verificato come idoneo all’uso che viene impostato, il responso della app non dovrà permettere di capire la ragione alla base della sua emissione. Scompariranno quindi le schermate blu relative alla prima dose di vaccino e le diciture che rendono evidenti circostanze che, di fatto, sono irrilevanti ai fini del controllo.

Tra i doverosi chiarimenti, alcuni riguardano il corretto uso della App di Verifica, possibile solo ed unicamente ove previsto dalla legge e non come misura addizionale da adottare su base volontaria. Sono chiariti anche elementi ben noti ma generalmente trascurati quali la formazione in materia di privacy degli addetti alle verifiche e le caratteristiche formali del loro incarico, nonchè dell’informativa da mettere a disposizione delle persone sottoposte a verifica.

Pare incredibile ma an oggi, a metà Dicembre, non sono ancora previste adeguate modalità di gestione per chi, per varie ragioni, risulta esentato dalla campagna vaccinale e che, ad oggi, non può contare su uno strumento per dimostrarlo che non sia lesivo della dignità e della propria riservatezza. Il Garante sottolinea nuovamente questa pubblica istanza ricordando al Governo che è necessaria una certificazione verde per gli esentati, auspicabilmente anch’essa revocabile, che consenta di superare i controlli senza dover rendere note le particolarità della propria situazione.

Fra pochi giorni sarà reso noto il testo del decreto che, recependo o ignorando il parere del Garante, disciplinerà l’istituto della revoca del Green Pass, incidendo più o meno direttamente sulla quotidiana ed ubiquitaria gestione delle certificazioni verdi.

CB